企業(yè)面臨著相當(dāng)大的成本壓力，他們需要不斷思考，尋找各種辦法來優(yōu)化業(yè)務(wù)流程。
在數(shù)據(jù)中心領(lǐng)域，這意味著企業(yè)需要對(duì)硬件成本進(jìn)行嚴(yán)格審核，而這促使很多網(wǎng)絡(luò)企業(yè)在采購(gòu)服務(wù)器硬件時(shí)選擇不太傳統(tǒng)的辦法;即他們?cè)O(shè)計(jì)大部分硬件，再交由定制制造商生產(chǎn)服務(wù)器。
這則意味著企業(yè)需要對(duì)更多硬件安全承擔(dān)責(zé)任，并更多地依靠定制制造商，而不是傳統(tǒng)服務(wù)器供應(yīng)商。而正因?yàn)檫@種結(jié)構(gòu)所引起的問題，蘋果公司似乎已經(jīng)結(jié)束與Super Micro Computer公司的關(guān)系。
在本文中，我們將探討蘋果公司公開的定制服務(wù)器問題，以及企業(yè)如何避免類似的問題。
蘋果公司面臨的定制服務(wù)器問題
根據(jù)最新報(bào)告稱，蘋果公司已經(jīng)將Super Micro服務(wù)器從其數(shù)據(jù)中心移除，因?yàn)樘O果公司在其固件中發(fā)現(xiàn)預(yù)裝惡意軟件。目前還沒有報(bào)告有關(guān)該惡意軟件的詳細(xì)信息，但可能是針對(duì)蘋果的針對(duì)性攻擊。該惡意軟件可能由Super Micro或者Super Micro的供應(yīng)商在設(shè)計(jì)或組裝階段植入到固件中。
Super Micro主要負(fù)責(zé)設(shè)計(jì)和組裝服務(wù)器組件，例如網(wǎng)卡、存儲(chǔ)接口和CPU。對(duì)于Super Micro操作系統(tǒng)在現(xiàn)代系統(tǒng)運(yùn)行，它需要與BIOS及固件相連接，很多時(shí)候，BIOS和固件包含重要功能，這些工具可能來自與制造商簽約的第三方。BIOS和固件可能需要更新，但仍然可能被感染。
除了定制服務(wù)器，很多服務(wù)器的組件類似于大眾市場(chǎng)服務(wù)器，Super Micro使用類似固件和驅(qū)動(dòng)程序來保持低成本。隨著更多第三方參與，服務(wù)器攻擊面變更大，而成品產(chǎn)品的硬件安全責(zé)任就越模糊。固件或BIOS可能在任何點(diǎn)受到攻擊，如果在組裝的下一步?jīng)]有得到檢查，受感染系統(tǒng)可能會(huì)影響整個(gè)企業(yè)網(wǎng)絡(luò)。
雖然我們無法知道詳細(xì)信息，但定制硬件的供應(yīng)鏈安全問題都應(yīng)該引起企業(yè)重視。這類似于Android手機(jī)上預(yù)裝惡意軟件，以及通過由制造商添加的硬件調(diào)試環(huán)境引入的預(yù)裝膨脹軟件或者后門程序。據(jù)報(bào)道，美國(guó)國(guó)家安全局就采取了類似的措施。
企業(yè)必須關(guān)注供應(yīng)鏈安全，因?yàn)榉?wù)器或任何技術(shù)產(chǎn)品都可能在供應(yīng)鏈的很多不同點(diǎn)受到攻擊，并可能會(huì)到達(dá)最終用戶。
企業(yè)如何確保定制硬件安全?
定制硬件有很多好處，例如可提供更安全的系統(tǒng)，而不需要安裝不必要的功能或者在硬件中包含可信平臺(tái)模塊或加密協(xié)處理器等組件。而另一方面，這意味著企業(yè)需要負(fù)責(zé)檢查定制服務(wù)器的安全性。
我們可從某些跡象判斷固件在開箱使用時(shí)被感染：意外的網(wǎng)絡(luò)連接、高于預(yù)期的CPU溫度或者在系統(tǒng)中運(yùn)行的惡意軟件導(dǎo)致的意外電力使用。
企業(yè)可從單獨(dú)的系統(tǒng)監(jiān)控網(wǎng)絡(luò)或電源情況，并可調(diào)查異常活動(dòng)。如果發(fā)現(xiàn)某些異常，企業(yè)可替換不同硬件組件以識(shí)別惡意軟件，但企業(yè)需要付出很大努力才可能識(shí)別所有潛在受感染組件。對(duì)于企業(yè)可能無法發(fā)現(xiàn)的特定惡意組件，唯一響應(yīng)辦法是完全移除該硬件，否則將無法確保系統(tǒng)安全。
當(dāng)安裝新服務(wù)器(或者連接任何東西到網(wǎng)絡(luò))時(shí)，應(yīng)遵循基于企業(yè)風(fēng)險(xiǎn)承受能力的標(biāo)準(zhǔn)化流程。如果企業(yè)具有高風(fēng)險(xiǎn)承受能力，則該過程可能相對(duì)簡(jiǎn)單，只需要涉及機(jī)架擺放以及物理連接布線并安裝所需操作系統(tǒng)的已知安全版本。
如果企業(yè)風(fēng)險(xiǎn)承受能力低，這個(gè)過程則會(huì)更詳細(xì)，包括檢查防拆包裝以查看包裝是否在制造商運(yùn)輸過程中被拆開、更新所有固件和BIOS、連接該硬件到不安全網(wǎng)絡(luò)并監(jiān)控所有網(wǎng)絡(luò)活動(dòng)，然后設(shè)置好以查看硬件中是否存在預(yù)裝惡意軟件。
美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所(NIST)針對(duì)這些情況提供了具體文件，例如“針對(duì)服務(wù)器的BIOS保護(hù)指南”。還有很多其他標(biāo)準(zhǔn)可提供更多指導(dǎo)建議，例如NIST 800-53v4、互聯(lián)網(wǎng)安全中心基準(zhǔn)以及微軟的服務(wù)器硬化基準(zhǔn)。這些標(biāo)準(zhǔn)可適應(yīng)企業(yè)要求以確保服務(wù)器的安全部署。
總結(jié)
成本和性能壓力通常給企業(yè)帶來新的安全挑戰(zhàn)，他們需要確保部署適當(dāng)?shù)谋Ｗo(hù)來保護(hù)定制服務(wù)器及其供應(yīng)鏈。這些定制服務(wù)器可能比大眾市場(chǎng)服務(wù)器更安全更便宜，但企業(yè)需要部署額外的措施來確保安全。
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁(yè)分享至朋友圈。